Un SOC centrado en IA es el centro de operaciones de seguridad (SOC) donde la IA hace la mayor parte del trabajo de investigación, y las personas toman las decisiones finales. "SOC centrado en IA" es el término que usamos para nuestro propio SOC disponible 24/7.

Así es como se ve esto en el día a día: los agentes de IA recopilan telemetría, correlacionan actividad y marcan comportamientos sospechosos. Cuando se confirma una amenaza y supera un umbral de confianza que las personas definen, la IA actúa. Cuando una señal es ambigua o nueva, pasa a el/la analista del centro de operaciones de seguridad (SOC).

Los analistas del centro de operaciones de seguridad (SOC) escriben los playbooks, definen los umbrales y pueden anular a la IA en cualquier momento. La palabra clave es central: la IA carga con el peso, y las personas tienen el control.

Un SOC de IA totalmente autónomo es un modelo de operaciones de seguridad donde la IA investiga, decide y responde a las amenazas de principio a fin, sin necesidad de revisión humana.

La IA cierra el caso, incluso los que determina que son benignos. Las personas todavía ajustan el sistema, lo auditan y manejan excepciones, pero no revisan cada veredicto antes de que se vuelva definitivo.

Los proveedores usan etiquetas distintas para esto, así que haz preguntas sobre la validación. La prueba es simple: ¿puede la IA cerrar una investigación sin que una persona la revise?

Muchos SOC tienen IA integrada, y no todos funcionan de la misma manera. Así se comparan los tres modelos comunes, con la columna del SOC centrado en IA mostrando cómo operamos el nuestro.

Estos tres modelos se ubican en un espectro, y ese espectro se define por el lugar que ocupa una persona en la decisión.

Es tentador comparar estos modelos por su velocidad o por cuánta IA llevan por dentro. La mejor comparación es quién tiene la última palabra en el veredicto.

Un SOC toma dos tipos de decisiones: "esta es una amenaza confirmada, actúa ahora" y "esto no es nada, ciérralo". La segunda conlleva más riesgo. Un falso positivo te cuesta tiempo. Un falso negativo, un caso malicioso cerrado por error, deja a un atacante dentro de tu entorno.

Por eso la decisión de cierre es la que hay que vigilar. En un SOC centrado en IA, la IA actúa rápido ante amenazas confirmadas, y el/la analista del centro de operaciones de seguridad (SOC) revisa el cierre benigno. En un SOC totalmente autónomo, la IA también toma esa decisión.

Así es como se ve un modelo centrado en IA cuando se escribe como reglas.

Athena es el sistema de investigación agéntica de Huntress, compuesto por más de 40 agentes de IA especializados. Funciona dentro de nuestro SOC disponible 24/7 junto con el/la analista del centro de operaciones de seguridad (SOC), y los límites a su alrededor son específicos.

Lo que Athena puede hacer

• Investigar, actuar e informar sobre amenazas confirmadas de forma automática cuando se cumplen umbrales de confianza definidos por humanos
• Extraer telemetría, correlacionar señales y acelerar las investigaciones que lidera el/la analista del centro de operaciones de seguridad (SOC)
• Redactar informes de incidentes una vez que se confirma una amenaza

Lo que Athena no puede hacer

• Cerrar una investigación como benigna sin que el/la analista del centro de operaciones de seguridad (SOC) la revise
• Tomar la decisión final sobre un caso que pasa a revisión de un analista. Cuando una investigación llega a un analista, el analista decide

Qué sucede cuando Athena no está segura

• Una señal ambigua o por debajo del umbral de confianza se redirige automáticamente a un analista de Huntress SOC para su revisión y finalización
• El/la analista del centro de operaciones de seguridad (SOC) puede revisar, modificar o anular cualquier resultado de Athena

Resultados de Athena, en números

Athena avanza a máxima velocidad en amenazas confirmadas y de alta confianza. En la decisión con mayor riesgo —cerrar algo como inofensivo— una persona da el visto bueno.

El/la analista del centro de operaciones de seguridad (SOC) es dueño de los playbooks y los umbrales. Los ajustan a medida que las amenazas evolucionan, y revisan los casos en los que Athena no tiene confianza. Esa es la diferencia práctica entre centrado en IA y autónomo: quién tiene la última palabra.

Una preocupación común es que mantener a las personas involucradas ralentice todo. En un SOC centrado en IA, mayormente no es así, porque la IA actúa por su cuenta cuando la confianza es alta. Nuestra guía sobre remediación automatizada de amenazas muestra cómo Managed Response contiene amenazas confirmadas en segundos.

Las personas ganan su lugar en los casos que no encajan en un playbook. Las tácticas nuevas, los casos atípicos y las señales que podrían interpretarse de cualquier manera necesitan el juicio y el contexto de el/la analista del centro de operaciones de seguridad (SOC). Nuestra guía sobre la automatización de la respuesta a incidentes y por qué la revisión humana del SOC sigue siendo importante profundiza en ese tema.

Los atacantes se mueven a la velocidad de las máquinas, así que la IA debe estar en el centro del SOC. La pregunta es qué decisiones le confías.

Usa estas preguntas cuando evalúes un SOC gestionado, el nuestro o el de cualquier otro. Funcionan sin importar si un proveedor dice "centrado en IA", "agéntico" o "totalmente autónomo".

1. ¿Quién decide cuándo se descarta una alerta? Exige una respuesta directa. Si la respuesta es "la IA", pregunta qué salvaguardas respaldan esa decisión.

2. ¿Puede la IA cerrar un caso como benigno por su cuenta? Esta pregunta separa los modelos. Un sí significa que la IA controla el cierre, y un no significa que una persona lo revisa primero.

3. ¿Quién establece y ajusta los umbrales de confianza? Los umbrales determinan sobre qué actúa la IA y qué deriva. Averigua si los analistas del SOC con experiencia los controlan y con qué frecuencia cambian.

4. ¿Qué pasa con las señales ambiguas o novedosas? ¿La IA hace su mejor suposición, o redirige la señal a una persona? Pregunta qué significa "por debajo del umbral" en la práctica.

5. ¿Pueden los analistas anular a la IA, y puedes ver lo que hizo? Busca la posibilidad de anulación humana y un informe claro de cada acción automatizada. Si no puedes ver qué pasó y por qué, no puedes confiar en ello.

Si no obtienes una respuesta clara a las cinco preguntas, sigue buscando.

La Huntress Agentic Security Platform está respaldada por un SOC basado en IA disponible 24/7, donde la IA se encarga del trabajo pesado y el/la analista del centro de operaciones de seguridad (SOC) toma las decisiones difíciles. Está diseñada para empresas de todos los tamaños, y no necesitas tener tu propio equipo de seguridad para usarla.

Las amenazas se resuelven más rápido, y una persona sigue siendo responsable de las decisiones que importan. Ese es el trato.

Descubre cómo funciona el SOC de Huntress basado en IA disponible 24/7